Informativa sulla privacy

Il titolare è [RAGIONE SOCIALE], con sede in [INDIRIZZO], P.IVA [P.IVA]. Per qualsiasi richiesta sulla privacy scrivi a [EMAIL PRIVACY]. Responsabile della protezione dei dati: [DPO, SE NOMINATO].

• Account: email, password (conservata solo in forma cifrata), identificativo Google se accedi con Google, username, nome visualizzato, immagine del profilo, Paese, lingua del sito.
• Indirizzo di spedizione: nome, indirizzo ed eventuale telefono. Lo vede il venditore di ogni tuo ordine per spedirlo; quando vendi, è usato come mittente e come indirizzo per i resi.
• Dati di fatturazione: privato o attività, nome o ragione sociale, partita IVA, codice fiscale, codice SDI o PEC, indirizzo di fatturazione. Li vedi solo tu e lo staff.
• Ordini: carte acquistate o vendute, importi, metodo di spedizione, numeri di tracciamento, rimborsi e pagamenti ai venditori.
• Pagamenti: i dati della carta di pagamento sono trattati solo da Stripe. Per chi vende, Stripe raccoglie i dati di identità e del conto bancario; Amber Road riceve solo l'identificativo del conto Stripe e lo stato di verifica e dei pagamenti.
• Contenuti: inserzioni e relative foto (pubbliche), collezione e foto della collezione (pubbliche o private, a tua scelta), carte cercate, messaggi e offerte in chat, recensioni, segnalazioni con le foto allegate (visibili solo alle parti e allo staff), notifiche.
• Verifica delle carte: foto di fronte e retro (con il foglio del codice o scattate con la fotocamera), conservate in un archivio privato visibile solo a te e allo staff; esito del controllo automatico e un'impronta numerica dell'immagine della carta, usata per riconoscere foto già usate da altri account.
• Sicurezza e moderazione: indirizzi IP registrati alla registrazione e all'accesso, stato dell'account, avvisi e sanzioni, richieste di cambio username.
• Dati tecnici: cookie tecnici (vedi la Cookie policy) e log tecnici del fornitore di hosting.

• Fornire il servizio (account, inserzioni, ordini, spedizioni, Hub, chat, segnalazioni, verifica delle carte, notifiche ed email di servizio come conferma della registrazione e recupero della password): esecuzione del contratto (art. 6.1.b GDPR).
• Adempiere a obblighi di legge (contabilità, fiscalità, richieste delle autorità): obbligo legale (art. 6.1.c).
• Sicurezza e prevenzione delle frodi (registrazione degli IP, blocco degli IP bannati, riconoscimento delle foto riutilizzate), moderazione, sanzioni e difesa in giudizio: legittimo interesse (art. 6.1.f).

Non usiamo i tuoi dati per pubblicità, marketing o profilazione. [DA VERIFICARE se sono previste comunicazioni promozionali.]

Il controllo automatico con fotocamera può approvare da solo una verifica, ma non la rifiuta mai: i casi dubbi passano a una persona dello staff. Le sanzioni dopo le segnalazioni perse si applicano automaticamente in base alle decisioni dello staff. [DA VERIFICARE: valutazione ai sensi dell'art. 22 GDPR.]

Usiamo questi fornitori, nominati responsabili del trattamento dove previsto:

• Supabase: database, autenticazione e archivio dei file (server in [REGIONE DEI SERVER]);
• Vercel: hosting ed esecuzione del Sito;
• Cloudflare: archivio e distribuzione delle immagini del catalogo (non contiene dati degli utenti; come per ogni sito, il browser comunica il proprio indirizzo IP quando scarica un'immagine);
• Stripe: pagamenti, verifica dei venditori e trasferimenti (per alcuni trattamenti Stripe agisce come titolare autonomo);
• [FORNITORE EMAIL]: invio delle email dell'account (conferma, recupero password);
• Google, solo se scegli di accedere con Google (titolare autonomo).

Alcuni dati sono visibili ad altri utenti: il profilo pubblico, le inserzioni, le recensioni e, per ogni ordine, il nome, l'indirizzo e l'eventuale telefono di chi compra al venditore (e l'indirizzo di reso del venditore a chi compra, in caso di reso). I corrieri ricevono i dati di spedizione tramite l'etichetta acquistata dal venditore.

I dati possono essere comunicati alle autorità quando la legge lo richiede.

Alcuni fornitori hanno sede negli Stati Uniti. I trasferimenti avvengono sulla base del Data Privacy Framework UE-USA o delle clausole contrattuali standard della Commissione Europea. [DA VERIFICARE per ciascun fornitore.]

• Dati dell'account e contenuti: finché l'account è attivo, poi [PERIODO] dalla chiusura.
• Ordini, pagamenti e dati di fatturazione: [10 ANNI — DA VERIFICARE] per obblighi fiscali e contabili.
• Foto di verifica: [PERIODO].
• Messaggi in chat: [PERIODO].
• Indirizzi IP: finché l'account è attivo; gli IP bannati per 12 mesi dal ban.

[DA VERIFICARE: oggi il Sito non cancella automaticamente questi dati; i periodi vanno definiti e poi applicati.]

Puoi chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e opporti ai trattamenti basati sul legittimo interesse. Molti dati si modificano direttamente nelle Impostazioni; per il resto scrivi a [EMAIL PRIVACY]. Rispondiamo entro un mese.

Puoi anche presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del tuo Paese.

Le password sono conservate solo in forma cifrata, l'accesso ai dati è limitato con regole a livello di database e le foto private (verifica e segnalazioni) si aprono solo con link temporanei. Solo lo staff autorizzato può vedere i dati necessari alla moderazione e alle verifiche.

Il Sito è riservato a chi ha almeno [ETÀ MINIMA] anni. [DA VERIFICARE: gestione degli utenti minorenni.]

Possiamo aggiornare questa informativa; le modifiche rilevanti vengono comunicate agli utenti registrati.